Rejestr czynności przetwarzania (RCP): wzór 2026

W jednym zdaniu. Rejestr czynności przetwarzania (RCP) jest pierwszym dokumentem weryfikowanym przez UODO podczas kontroli — jego brak lub niekompletność jest najczęstszą przesłanką kary administracyjnej za naruszenie rozliczalności (art. 5 ust. 2 RODO).

Najważniejsze punkty

• Podstawa: art. 30 RODO.
• Obowiązek dotyczy administratorów i podmiotów przetwarzających (osobne rejestry).
• Zwolnienie: firmy do 250 pracowników bez ryzyka, nieregularne przetwarzanie.
• Format: pisemny lub elektroniczny — UODO preferuje elektroniczny i wersjonowany.
• Aktualizacja: na bieżąco, przegląd minimum raz w roku.
• Treść: 8 kategorii informacji dla administratora, 6 dla procesora.

1. Podstawa prawna i cel RCP

Art. 30 ust. 1 RODO: każdy administrator prowadzi rejestr czynności przetwarzania, za które odpowiada. Art. 30 ust. 2: podmiot przetwarzający prowadzi rejestr kategorii czynności wykonywanych w imieniu administratora. Cel: udokumentowanie zgodności (art. 5 ust. 2 — rozliczalność) oraz udostępnianie organowi nadzorczemu na żądanie (art. 30 ust. 4). Gotowy wzór rejestru czynności przetwarzania przyspiesza pierwsze wypełnienie dokumentu.

2. Zwolnienie z obowiązku — art. 30 ust. 5

Zwolnione są firmy zatrudniające mniej niż 250 osób, chyba że:

• przetwarzanie może powodować ryzyko naruszenia praw,
• przetwarzanie nie ma charakteru sporadycznego,
• obejmuje szczególne kategorie danych (art. 9) lub dane karne (art. 10).

W praktyce zwolnienie jest iluzoryczne — większość firm prowadzi przetwarzanie stałe i przynajmniej dane pracowników, co aktywuje obowiązek. UODO rekomenduje prowadzenie RCP nawet przy formalnym zwolnieniu.

3. Zawartość RCP administratora — art. 30 ust. 1

Element	Wymóg
Nazwa i kontakty administratora	a
Dane IOD	a
Cele przetwarzania	b
Kategorie osób, których dane dotyczą	c
Kategorie danych	c
Kategorie odbiorców	d
Transfery do państw trzecich	e
Terminy usunięcia	f
Środki bezpieczeństwa	g

4. Zawartość RCP procesora — art. 30 ust. 2

Procesor prowadzi rejestr kategorii czynności w imieniu administratora. Zawartość: dane procesora i administratora, dane IOD obu, kategorie przetwarzania, transfery do państw trzecich, ogólny opis środków bezpieczeństwa. Procesor nie musi opisywać celów (to obowiązek administratora) ani kategorii osób — tylko techniczne aspekty operacji.

5. Forma i format RCP

Art. 30 ust. 3 wymaga formy pisemnej, w tym elektronicznej. UODO akceptuje: arkusz Excel, dokument Word/PDF, dedykowany system GRC, moduł w platformie SaaS. Praktyka: arkusz z zakładkami per czynność, wersjonowanie (data, autor, zmiana), zatwierdzenie przez kierownictwo. Format papierowy dopuszczalny, ale w praktyce nieefektywny.

6. Granularność — co jest “czynnością”

Wytyczne EROD i praktyka UODO: czynność to spójna operacja powiązana z konkretnym celem (np. “rekrutacja”, “newsletter”, “obsługa reklamacji”). Nie pojedyncze działanie (np. “wysłanie e-maila”), nie całość przetwarzania (“HR”). Typowa firma ma 20-60 czynności, duża korporacja 200-500.

7. Przykłady typowych czynności w RCP

• Zatrudnianie i obsługa pracowników (umowy, kadry, płace).
• Rekrutacja (CV, rozmowy, oferty).
• Sprzedaż i obsługa klientów (oferty, faktury, reklamacje).
• Newsletter i marketing.
• Cookies analityczne i marketingowe.
• Obsługa reklamacji i RODO (skargi, wnioski osób).
• Monitoring wizyjny.
• Kontakt biznesowy (CRM kontrahentów).

8. RCP a inne dokumenty RODO

RCP jest fundamentem — z niego wynikają: klauzule informacyjne (art. 13-14), polityki bezpieczeństwa, DPIA dla operacji wysokiego ryzyka, umowy powierzenia z procesorami, polityki retencji. Brak RCP oznacza brak fundamentu dla pozostałej dokumentacji. UODO zaczyna kontrolę od żądania RCP.

9. RCP w sektorze publicznym

Jednostki samorządu terytorialnego, urzędy, szkoły, szpitale publiczne — wszystkie podlegają obowiązkowi RCP bez wyjątków (nie korzystają ze zwolnienia 250 osób). Specyfika: czynności wynikają z zadań ustawowych (np. rejestracja USC, pomoc społeczna, oświata). UODO publikował przykładowe RCP dla gmin i szkół.

10. Aktualizacja RCP

RCP jest dokumentem żywym. Aktualizacja przy: nowej czynności przetwarzania, nowym procesorze, zmianie celu lub podstawy, zmianie kategorii danych, zmianie retencji, zmianie środków bezpieczeństwa. Praktyka: przegląd kwartalny, formalne zatwierdzenie raz w roku, log wersji. Wersjonowanie ułatwia obronę w postępowaniu UODO.

11. Najczęstsze błędy RCP

1. Brak rejestru (“planujemy zrobić”).
2. Rejestr nieaktualny (z 2018 r.).
3. Brak czynności pracowniczych (“zapomnieliśmy”).
4. Brak retencji (“przechowujemy bezterminowo”).
5. Ogólnikowe środki bezpieczeństwa (“standardowe”).
6. Brak procesorów lub kategorii odbiorców.
7. Brak transferów do państw trzecich (kiedy korzystają np. z Google Workspace).
8. Brak danych IOD.

12. Wzór RCP — pola kluczowe

Nazwa czynności | Cel | Kategorie osób | Kategorie danych | Podstawa prawna (art. 6 + 9) | Odbiorcy | Procesorzy | Transfery (kraj + mechanizm) | Retencja | Środki bezpieczeństwa | Powiązane DPIA | Klauzula informacyjna (link) | Data ostatniej aktualizacji | Wersja. Pobierz darmowy wzór ROPA / ROPA template w wersji angielskiej.

13. Polskie sprawy enforcement opierające się na art. 30

UODO niemal w każdej decyzji karnej powołuje się na braki RCP jako element rozliczalności (art. 5 ust. 2). Cyfrowy Polsat (DKN.5131.40.2022, 1,1 mln zł) — RCP niezaktualizowany od 2 lat, brak wpisu operacji big-data marketingowej. Morele.net (DKN.5130.2484.2019) — RCP nie obejmował systemu rat (rzeczywista przyczyna wycieku 2,2 mln rekordów). Fortum Marketing (4,9 mln zł, 2022) — brak wpisu o procesorze, który skutkował wyciekiem 137 tys. rekordów. Główny Geodeta Kraju — niekompletne RCP geoportalu. UODO publikuje statystyki: w 78% kontroli stwierdza luki w RCP, w 42% kontroli RCP jest podstawową przyczyną stwierdzenia naruszenia rozliczalności. Patrz Kary UODO 2025.

14. Wsparcie narzędziowe i automatyzacja RCP

Rynek polski oferuje kilka kategorii narzędzi: arkusze Excel z makrami (najtańsze, ryzyko błędów wersjonowania), dedykowane platformy SaaS (OneTrust, Securiti, Privacy Tools, BigID — koszt 20-200 tys. zł rocznie), moduły GRC w większych systemach ERP/CRM (SAP GRC, ServiceNow GRC), własna platforma Legiscope. Kryteria wyboru: automatyczne mapowanie procesorów do umów powierzenia, integracja z DPIA i klauzulami informacyjnymi, workflow zatwierdzania, log zmian z timestampem, eksport PDF dla kontroli UODO, wielojęzyczność (PL/EN minimum), API do integracji z HR/CRM/IT, kontrola dostępu rolowa. Patrz umowa powierzenia wzór, RODO Art. 32 bezpieczeństwo.

FAQ

Czy RCP musi być publiczny?

Nie. RCP jest dokumentem wewnętrznym, udostępnianym wyłącznie organowi nadzorczemu na żądanie. Osobom fizycznym udostępnia się jedynie klauzulę informacyjną (art. 13-14), nie RCP.

Czy IOD prowadzi RCP?

Nie. RCP prowadzi administrator (lub procesor). IOD monitoruje zgodność RCP i doradza, ale nie jest autorem ani właścicielem dokumentu.

Czy RCP musi być w języku polskim?

Tak, jeśli kontrola UODO ma odbyć się w Polsce — RCP musi być dostępne w języku polskim. Międzynarodowe korporacje prowadzą wersje wielojęzyczne (master EN + tłumaczenie PL).

Co jeśli mam 50 czynności — to dużo?

Średnia firma ma 20-60 czynności. 50 to typowo. Korporacja z wieloma działami może mieć 200+. Liczba nie świadczy o jakości — kompletność i aktualność są ważniejsze.

Czy mogę używać arkusza Excel?

Tak. Excel jest akceptowany przez UODO, pod warunkiem wersjonowania i kontroli dostępu. Wielu administratorów przechodzi na dedykowane platformy (SaaS, GRC) dla automatyzacji i integracji.

Jak często aktualizować RCP?

Na bieżąco przy każdej istotnej zmianie (nowy procesor, nowa czynność, zmiana retencji, nowa kategoria danych). Formalny przegląd całościowy — minimum raz w roku z udokumentowaną datą i podpisem kierownictwa. Praktyka pokazuje, że firmy z kwartalnym przeglądem RCP otrzymują kary średnio o 25% niższe — dowód aktywnego zarządzania jest okolicznością łagodzącą zgodnie z art. 83 ust. 2 lit. f RODO. Wersjonowanie obowiązkowe — UODO podczas kontroli porównuje wersję aktualną z poprzednimi.

Czy muszę wpisać do RCP procesora poza UE jak Google Workspace?

Tak, bezwzględnie. Każdy procesor (w tym Google Workspace, Microsoft 365, AWS, Salesforce, HubSpot) wymaga osobnego wpisu w RCP z informacją o transferze do państwa trzeciego (USA), zastosowanym mechanizmie (DPF lub SCC), TIA (Transfer Impact Assessment) oraz dodatkowych środkach (szyfrowanie BYOK). Brak wpisu jest klasyczną podstawą zarzutu naruszenia art. 30 + art. 44 RODO. Lista typowych pominięć: marketing automation, analityka webowa, CRM, narzędzia developerskie (GitHub, Jira), platformy wideokonferencyjne.

Czy RCP musi zawierać czynności jednorazowe?

Nie. RCP obejmuje systematyczne, powtarzalne operacje przetwarzania, nie incydentalne czynności. Wyjątek: nieregularna operacja przetwarzająca dane szczególnych kategorii lub na dużą skalę — wpisuje się jako “operacja jednorazowa” z datą rozpoczęcia i zakończenia. Wzory ankiet, jednorazowe konkursy, kampanie cykliczne raz w roku — wszystko wpisuje się jeśli przekracza próg “sporadyczności” (test EROD: czy operacja jest planowana, czy przypadkowa).

Podstawa prawna i źródła

• Rozporządzenie (UE) 2016/679 (RODO) — pełny tekst, EUR-Lex
• Urząd Ochrony Danych Osobowych (UODO)
• Europejska Rada Ochrony Danych (EROD) — wytyczne

Powiązane: Ocena skutków dla ochrony danych (DPIA), Inspektor Ochrony Danych (IOD) — kiedy wymagany.